Immobiliendokumente teilen: sicherer Dateitransfer

Immobilientransaktionen erzeugen Dutzende von Dateien mit personenbezogenen Daten, Finanzdaten und rechtsverbindlichen Vereinbarungen — Kaufverträge, Gutachten, Wertgutachten, Grundbuchangaben, Offenlegungserklärungen, Zahlungsanweisungen, Abschlussunterlagen. E-Mail ist der Standard, und genau deshalb kommt es zu Zahlungsbetrug und Verkäufer-Imitationsangriffen. Die sichere Alternative: ein browserbasierter Transferlink mit Ende-zu-Ende-Verschlüsselung — Kaufvertrag clientseitig mit AES-256-GCM verschlüsseln, Link teilen, Passwort über einen anderen Kanal senden. Käufer, Verkäufer und Makler erhalten das Dokument ohne Kontoerstellung, und es ist für den Transferdienst unlesbar.

Das Betrugsrisiko, das dieser Ansatz tatsächlich löst

Zahlungsbetrug bei Immobilientransaktionen ist eine der kostspieligsten Cyberbetrugsvarianten. Das typische Angriffsmuster:

1. Angreifer kompromittiert die E-Mail eines Maklers, Notars oder Anwalts.
2. Überwacht den Thread; erfährt Schlusstermin und Überweisungsbetrag.
3. Im entscheidenden Moment fängt eine Zahlungsanweisungs-E-Mail ab und sendet eine veränderte Version mit den Kontodaten des Angreifers.
4. Käufer überweist 400.000 € auf das falsche Konto. Gelder werden innerhalb von Stunden ins Ausland transferiert.

Wirksame Gegenmaßnahmen:

• Zahlungsanweisungen über verschlüsselten Kanal mit Bestätigung über einen zweiten Kanal — Link per verschlüsseltem Transfer, Bestätigung über eine vorab vereinbarte Telefonnummer (nicht die Nummer in der E-Mail-Signatur).
• Zahlungsanweisungen niemals per E-Mail senden.
• Verschlüsselte, ablaufende Links für alle Dokumente mit Kontodaten.
• Abschlussgespräch, bei dem alle Parteien das Zielkonto mündlich bestätigen.

Ein E2E-verschlüsselter Transferlink ist keine Allheilmittel, aber er erhöht den Aufwand für Angreifer erheblich — das Abfangen der E-Mail gibt ihnen die Datei nicht mehr.

Dokumenttypen bei einem typischen Wohnimmobilienkauf

| Dokument | Sensibilität | Typische Größe | | --- | --- | --- | | Kaufvertrag / Angebot | Hoch (personenbezogene Daten, Preis) | 1–5 MB | | Offenlegungserklärung des Verkäufers | Mittel (Zustandsinformationen) | 1–10 MB | | Gutachten mit Fotos | Mittel | 20–200 MB | | Wertgutachten | Mittel | 5–50 MB | | Grundbuchauszug / Belastungsnachweis | Hoch (rechtlich) | 2–20 MB | | Abschlussabrechnung | Hoch (Finanzdaten) | 1–5 MB | | Finanzierungsangebot | Hoch | 1–3 MB | | ALTA-Abrechnungsauszug | Hoch | 1–3 MB | | Zahlungsanweisungen | Sehr hoch | < 1 MB | | Gebäudeversicherungsnachweis | Mittel | 1–5 MB | | WEG-Unterlagen (Teilungserklärung, Protokolle) | Mittel | 5–200 MB | | Pläne und Vermessung | Niedrig–mittel | 10 MB – 2 GB | | Abschlusspaket (alle Dokumente) | Hoch | 50–500 MB |

Bei Gewerbeimmobilien kommen hinzu: Umweltgutachten Phase I, Strukturgutachten, Mietvertragsabstraktionen, Mieterlisten, Estoppel-Zertifikate.

Warum E-Mail und DocuSign allein nicht ausreichen

E-Mail: Klartext auf den Servern von Sender und Empfänger, TLS nur zwischen Hops, durchsuchbar durch IT-Administratoren, in manchen Diensten durch KI-Zusammenfassungen indexiert.

DocuSign: löst die Bindung von Unterschriften und Lieferprotokollen. Es hilft nicht bei den 95 % der Dokumente, die nicht unterschrieben werden (Gutachten, Offenlegungen, WEG-Pakete). Die CLM-Plattform von DocuSign deckt breitere Dateitypen ab, erfordert aber Lizenzen für alle Beteiligten.

Dropbox / Google Drive-Freigaben: hinterlassen Dateien auf Anbieterservern, bis jemand daran denkt, sie zu löschen. Anbieter hält die Schlüssel.

Das verschlüsselte Transfermuster für Immobilien

1. Makler stellt das WEG-Dokumentenpaket zusammen — Teilungserklärung, aktueller Wirtschaftsplan, Protokolle der letzten 12 Monate, Rücklageübersicht — in einem ZIP.
2. Lädt in einen Transferdienst hoch. Browser leitet 256-Bit-Schlüssel aus einer Passphrase über PBKDF2-HMAC-SHA256 ab, 600.000 Iterationen (OWASP 2023).
3. AES-256-GCM verschlüsselt Chunks mit eindeutigen 96-Bit-IVs. Chiffretext wird über TLS 1.3 hochgeladen.
4. Makler sendet den Link per E-Mail an den Käufermakler.
5. Passphrase per SMS oder Telefon übermittelt — niemals in derselben E-Mail.
6. Käufermakler lädt herunter, entschlüsselt im Browser, gibt weiter oder teilt intern mit dem Mandanten.
7. Ablaufdatum auf 30 Tage gesetzt, entsprechend der Rücktrittsfrist im Kaufvertrag.

Compliance-Anforderungen

• DSGVO (EU): Art. 32 verlangt geeignete technische Maßnahmen — Verschlüsselung ist explizit als Beispiel genannt. Art. 5 Abs. 1 lit. c und e fordern Datensparsamkeit und Speicherbegrenzung, was mit automatisch ablaufenden Links besser vereinbar ist als mit E-Mail.
• Deutschland (BSDG, DSGVO): Makler und Notare verarbeiten besonders sensible personenbezogene Daten; Datenschutz-Folgenabschätzungen können erforderlich sein.
• Frankreich (Loi Alur, DSGVO): notarielle Urkunden und Grundbuchauszüge unterliegen strengen Vertraulichkeitspflichten.
• Schweiz (nDSG 2023): weitgehend an DSGVO angeglichen; Verschlüsselung als Standard für sensible Daten erwartet.

Zeitplan der Transaktion und Link-Ablaufstrategie

| Phase | Fließende Dokumente | Empfohlene Link-Laufzeit | | --- | --- | --- | | Angebotsvorbereitung | Offenlegung, WEG-Paket | 60 Tage (Angebotszeitraum) | | Angebot & Annahme | Kaufvertrag, Gegenangebote | 14 Tage | | Gutachten | Inspektionsbericht | 14 Tage | | Finanzierung | Wertgutachten, Finanzierungsangebot | 30 Tage | | Grundbuch | Grundbuchangaben | 30 Tage | | Abschluss | Abrechnung, Zahlungsanweisungen | 7 Tage (vor Abschluss) | | Nach dem Abschluss | Abschlusspaket | 30 Tage (dann Makler archiviert im eigenen System) |

Kurze Laufzeiten minimieren die Angriffsfläche. Ein neuen Link zu erstellen ist trivial.

Mehrteiliges Teilen ohne Chaos

Eine typische Transaktion hat acht Beteiligte: Käufer, Käufermakler, Verkäufer, Verkäufermakler, Bank, Notar, ggf. Anwälte beider Seiten. Statt dieselbe Datei achtmal zu versenden:

• Einen Link mit dem gemeinsamen Passwort erstellen.
• Link an Käufermakler und Verkäufermakler senden (die Workflow-Hubs).
• Diese leiten intern an ihre Mandanten und verbundene Parteien weiter.
• Download-Protokoll zeigt, wer wann zugegriffen hat.

Das reduziert das E-Mail-Volumen und konzentriert den Prüfpfad an einem Ort.

Metadaten und PDF-Sicherheit

PDFs von Verträgen und Offenlegungen enthalten Metadaten — Originalautor, Revisionshistorie, XMP-Pakete. Vor externem Versand mit Adobe Acrobat Pros Werkzeuge → Schwärzen → Dokument bereinigen oder dem Open-Source-Tool qpdf --linearize --replace-input vereinfachen. Dadurch werden verborgene Lesezeichen, unerwünschte Kommentare und frühere Versionsdaten entfernt.

Auch auf signierte Felder prüfen: Ein teilweise unterzeichnetes PDF sollte keine interne Formularausfüllungshistorie an die Gegenseite preisgeben.

Mobile Übertragung für Makler unterwegs

Makler zeigen Objekte, verhandeln Angebote und schließen Deals von iPhones, iPads und Android-Smartphones aus. Ein browserbasierter Transfer funktioniert auf allen drei ohne App-Installation. Ein 50-MB-Gutachten-PDF vom iPad in Safari hochzuladen dauert 20 Sekunden über LTE; der Makler schickt den Link dem Käufer per E-Mail noch vom Parkplatz aus.

HexaTransfer verschlüsselt clientseitig auf iPadOS und Android-Browsern. Der Makler setzt das Passwort, sendet es per iMessage oder Signal, der Käufer lädt auf dem Smartphone herunter. Das Gutachten liegt nie unverschlüsselt auf einem Drittanbieterserver.

Dienstvergleich für Immobilientransaktionen

| Dienst | E2E-Verschlüsselung | Passwort | Ablauf | Max. Größe (kostenlos) | | --- | --- | --- | --- | --- | | E-Mail + PDF-Passwort | Nur Dokument | Ja | Postfachaufbewahrung | 25 MB | | Dotloop | Nein (im Ruhezustand) | Nein | Plattformbasiert | Je Plan | | SkySlope | Nein (im Ruhezustand) | Nein | Plattformbasiert | Je Plan | | DocuSign Rooms | Nein (im Ruhezustand) | Je Raum | Plattformbasiert | Je Plan | | Dropbox Transfer | Nein | Nur Pro | Max. 90 Tage | 100 MB kostenlos, 100 GB kostenpflichtig | | HexaTransfer | Ja (AES-256-GCM im Browser) | Ja | Konfigurierbar | 10 GB |

Eine reibungslos abgewickelte Transaktion ist unsichtbar. Eine, die schiefgeht — gesickerte Zahlungsanweisung, Bankdaten des Verkäufers online, kompromittierte Datei — ist unvergesslich. Verschlüsselte Übertragung ist der einfachste Weg, in der ersten Kategorie zu bleiben.

Auf hexatransfer.com testen — kostenlos, ohne Konto, bis 10 GB.